aTrust业务发布场景
业务发布场景概述
可信应用
可信应用，是基于终端进程访问是否可信而制定的一系列安全防护策略，用于远程办公终端安全环境不可控 + 勒索态势严峻 + 企业数字化转型/业务集约化导致数据高度集中 的三重因素下，可信应用能够比较好的防止失陷终端感染到业务服务器，保护企业数据资产的安全
进程可信控制属于零信任的核心能力之一
可信进程是指在用户通过aTrust访问应用时，经过安全性分析后被管理员确认无风险或可信任的进程。
可信应用的需求范围包括：
- 进程可视
管理员可直接看到所有访问业务服务器的进程，根据进程状态，决策进程是否可信任 - 访问可控
针对核心业务的访问，管理员可在应用防护策略中配置：只允许可信进程访问业务，否则需执行灰度处置，在验证访问人身份合法后才允许访问
配置相关
排除用户必须在使用用户范围内，否则策略不生效。
处置动作分为禁止访问、注销登陆、禁用账号三种
注销登陆会阻止本次访问并注销本次登录；
禁用账号若是本地用户或导入本地等外部用户会禁用该账号，若用户未导入本地则仅会注销本次登陆
灰度处置可以允许指定的用户在指定的时间访问内通过补救动作获得豁免，在豁免时间内访问该业务系统
支持的补救动作有：
- 增强认证：使用短信验证码再次认证，认证通过后才允许访问；
- 安全警示：通过窗口提示用户不满足访问条件，用户点击继续访问即可继续访问。
注意事项
- 支持隧道应用，不支持web应用
- 目前定义采集进程数，最大值在1W条数据，超出1W条没有删除功能，界面会有提示
- 手动填写数字签名、手动填写文件HASH值
- 填写可信与不可信规则时，如果进程名为全*时，必须要求填写“数字签名者”，因为全**匹配范围太大，没有意义
- 当进程名包含*号时，不会计算指纹值。
免认证应用
功能概述
客户有自己的统一身份认证平台（采用OAuth2.0或CAS协议），所有业务都在统一身份认证平台上进行认证，当aTrust也加入到统一身份认证平台时，即可实现aTrust与业务系统的单点登录。
但当客户认证服务器部署在内网时，外网访问应用的用户，必须先登录aTrust才能代理访问，而此时aTrust自身登录也依赖于统一身份认证平台，存在矛盾。
此时，可以考虑将统一身份认证平台发布成免认证应用，不需要经过认证，仍然可以由代理网关代理访问，进入内网，到统一身份认证平台进行登录。
免认证应用实现逻辑：
- 应用访问，「外网用户PC访问应用」-「aTrust不认证」代理访问内网「统一身份认证平台」登录成功。
注：配置CAS票据认证服务器时，CAS服务器的登录地址和注销地址必须与免认证应用的前端访问地址相同，认证接口地址建议填写服务器的原生地址。
注意事项
- 免认证应用可由代理网关可直接代理访问，不需要进行身份鉴别，适用于发布认证服务器的登录入口地址；存在安全风险，请谨慎使用
- 免认证应用不建议发布非门户类应用，存在安全隐患
- 发布免认证应用之后，在aTrust上加强安全策略。例如，配置上线准入策略、应用访问策略加以限制等等
- CAS认证服务器发布为免认证应用，认证接口建议配置为客户原生地址
- 免认证应用不支持私有dns解析、web水印、告警信息等
- 免认证应用是一个特殊的web应用，不能授权给某一用户，是全局的。即谁都能访问，没有权限控制
- 发布免认证应用需与客户同步风险
Web资源单点登录
单点登录，指用户登录aTrust后，直接访问业务系统，无需重复输入账号密码即可进行访问。单点登录模式，支持两种，分别为智能识别模式和精准识别模式：
- 智能识别模式：适用于无下拉选择，或验证码等组建的界面
- 精准识别模式：适用于较复杂的登录界面（含有类型下拉选择、验证码等必填控件的登录界面）
- 登录界面地址：配置完整的应用服务器登录URL地址，且协议、主机名、端口需与该应用后端服务器地址保持一致